Salut tous

Voila sur mon serveur LAMP, je voudrais changer les droits d'apache : à savoir que l'user "apache" (id 48) n'aie accès aux données dont le propriétaire fait partie du groupe "fournisseurs" (id de groupe 502) qu'en lecture seule.

Bien sûr, je voudrais que ces droits soient permanents (toujours là quand on redémarre apache ou le serveur).

Comment on fait

ps : je suis sous linux fedora core 6.

edit : j'ai un peu oublié ces trucs de droits, et surtout je voulais être sûr, car c'est vraiment un truc de sécu...

En utilsant find + setfacl ca se fait facilement. Encore faut  il que tes FS supportent soient montés avec le support des acls.

edit: En fait ca se fait facilement pour les fichiers existants. Cela place correctement les droits pour que www-data puisse accéder en lecture seule à ces fichiers. Pour les nouveaux fichiers il faut repasser un coup de setfacl.

Ya pas plus simple avec chmod et tout ?

En fait je reformule après recherche : je voudrais que tous les fichiers du groupe "fournisseurs" 502 (en fait tous les utilisateurs de ce groupe ont l'id 400 si ça peut aider ), sachant qu'ils sont tous contenus dans le même dossier (!) ne soit accessibles en écriture qu'au groupe 502, et en lecture pour tous les autres (dont Apache, forcément).

Du coup je peux faire un chmod sur les fichiers/dossiers existants, mais pour les prochains ça va pas marcher ?

Quand on met des autorisations sur un dossier, s'appliquent-elles automatiquement à tous les fichiers/dossiers contenus créés ultérieurement ?
Si oui,  ne puis-je pas simplement mettre un chmod adéquat sur le dossier conteneur ?

setacl est un chmod plus évolués si tu veux

Non à moins de le faire récursivement (généralement options -R)

Oui mais là tu parle des fichiers existants, pour les fichiers futurs ils prendront les droits du dossier parent non ?

Je parlais pour les existants oui, pour les nouveaux, je sais pas, je ne connais pas de technique pour allouer les acl qui vont bien dès la création du fichier/dossier (à part l'umask ou le changement de groupe du créateur)
 
umask => droit classique (user/group/other)
changement du groupe de l'utilisateur avant de créer => le fichier est créer tel qu'il appartient à l'utilisateur, et le groupe du fichier est celui qu'on vient de définir comme groupe par "défaut" de l'utilisateur (groupe affecté aux nouveaux fichiers).
 

Le truc c'est que rien ne me dit que mon système supporte les ACL, et en fait je préfère faire comme si ce n'était pas le cas...

Et pourquoi ne pas l'activer, c'est réellement plus flexible que les droits de bases...
c'est quoi tes fs et ton kernel ?

sinon pour l'affectation automatique des privilèges c'est umask qu'il faut bien définir avant la création de nouveaux fichiers/dossiers. Seulement d'après le man, il ne supporte pas les acl.

Sinon en se basant uniquement sur les droits basiques :
 - tu mets les utilisateurs dans un groupes précis
 - tu affectes ce groupes aux fichiers que tu veux
 - tu mets des droits en 64? (6 : droits rw pour l'utilisateur, 4 : droit r only pour le groupe, ? tu mets ce que tu veux pour le reste du monte)

quand tu dois créer des fichiers pour ce groupe : umask adéquat + changement de groupe "par défaut" de ton utilisateur.

Le problème c'est qu'avec les droits de bases, un fichier ne peut avoir qu'un seul groupe
=> d'où l'intéret des acl

edit: ah si d'après le man de setfacl il y a l'acl par défaut pour répertoire
http://www.suse.de/~agruen/acl/linux-acls/online/

Disons que c'est un serveur distant, que l'opération est une question d'heures, que je suis pas assez calé en cas d'emmerdes, donc je préfère prendre la solution la plus simple et universelle.
D'autant que je n'ai pas besoin d'avoir plusieurs groupes pour un fichier, ici...

Bon là j'ai fait un chmod -R o-w sur le dossier conteneur, tout va bien, le seul truc maintenant c'est que quand l'user proprio crée un fichier, c'est par défaut en 777. Umask ne m'a pas l'air de marcher, il s'applique sur tous les proprios et faut l'activer/désactiver tout le temps...